DETOUR: A Practical Backdoor Attack against Object Detection

1. Declaração do Problema

Sistemas de Detecção de Objetos (OD), particularmente aqueles baseados em Detectores Transformers (DETR), são críticos para aplicações do mundo real, como direção autônoma e robótica. No entanto, os ataques de backdoor existentes nesses sistemas sofrem de lacunas de praticidade significativas quando implantados em ambientes físicos:

• Compromisso entre Sigilo e Eficácia: Trabalhos anteriores otimizam para "perturbações mínimas" (sigilo) para evadir a inspeção humana. Contudo, em implantações físicas, as câmeras têm dificuldade em capturar essas perturbações sutis, levando a baixas taxas de sucesso do ataque.
• Restrições Rígidas do Gatilho: Ataques existentes dependem de gatilhos inseridos em locais fixos, tamanhos específicos ou pontos de vista únicos. No mundo real, gatilhos (por exemplo, um adesivo em uma caneca) aparecem em distâncias variadas (escalas), ângulos (Campos de Visão - FoVs) e locais.
• Falta de Robustez: Modelos atuais falham em generalizar o comportamento de backdoor quando o gatilho é redimensionado, rotacionado ou movido para um local diferente daquele em que foi treinado.

O desafio central é projetar um ataque de backdoor que seja fisicamente realizável (visível, imprimível), agnóstico à localização e robusto a variações de escala e ponto de vista, sem comprometer a precisão benigna do modelo.

2. Observações Chave

Os autores identificaram um fenômeno específico nas arquiteturas DETR chamado Efeito de Radiação do Gatilho (TRE):

• Fenômeno TRE: Quando um gatilho baseado em patches é inserido em um modelo DETR, ele ativa o backdoor não apenas no ponto de inserção, mas também em locais espaciais vizinhos.
• Sinergia: A inserção de gatilhos em múltiplos locais durante o treinamento potencializa sinergicamente esse efeito de radiação, aumentando significativamente a Taxa de Sucesso do Ataque (ASR) em toda a imagem.
• Limitações: Embora o TRE exista, sua eficácia cai drasticamente à medida que a distância entre o local de inserção no treinamento e o local de ativação na inferência aumenta. Além disso, mudanças na escala do gatilho e no FoV perturbam as representações de características no DETR, dificultando a ativação estável do backdoor.

3. Metodologia: DETOUR

Os autores propõem o DETOUR, um framework de ataque de backdoor prático projetado para superar as limitações dos métodos anteriores, focando na realizabilidade física e na robustez.

A. Design de Gatilho Semântico

Em vez de usar padrões de ruído otimizados e imperceptíveis, o DETOUR utiliza um objeto físico do mundo real (especificamente uma caneca) como gatilho.

• Viabilidade Física: O gatilho é um objeto natural que pode ser impresso ou colocado no ambiente, garantindo que seja visível para as câmeras e robusto a mudanças de iluminação/material.
• Consistência Semântica: O gatilho se mistura naturalmente à cena, evitando a aparência "anômala" de patches sintéticos.

B. Estratégia de Treinamento Multidimensional

Para garantir que o backdoor seja ativado independentemente de como o gatilho aparece no mundo real, o DETOUR emprega uma estratégia de injeção multidimensional durante o treinamento:

1. Treinamento Multi-Campo de Visão (FoV): Os autores capturam o objeto gatilho (a caneca) de múltiplos ângulos e distâncias para criar uma representação 3D. Durante o treinamento, FoVs aleatórios são amostrados para ensinar ao modelo invariância de ponto de vista.
2. Injeção Invariante à Escala: O gatilho é redimensionado aleatoriamente antes da inserção para simular distâncias variadas entre a câmera e o objeto. Isso força o modelo a aprender uma associação invariante à escala.
3. Injeção Agnóstica à Localização: Gatilhos são inseridos em locais diversos e aleatórios através do plano da imagem durante o treinamento. Isso aproveita o TRE para garantir que o backdoor seja ativado independentemente da posição específica do gatilho (Locais de Ativação de Gatilho Arbitrários - TALs).

C. Payload do Ataque

O payload do ataque é definido como um Ataque de Má Classificação Global (GMA) ou outros objetivos específicos (por exemplo, desaparecimento de objetos), onde a presença do gatilho faz com que o modelo classifique erroneamente objetos como uma classe-alvo (por exemplo, "Pessoa") ou os ignore, mantendo alta precisão em dados limpos.

4. Contribuições Principais

1. Descoberta do TRE: O artigo identifica e quantifica formalmente o Efeito de Radiação do Gatilho em modelos DETR, demonstrando que o treinamento multi-local potencializa sinergicamente a eficácia do ataque em toda a imagem.
2. Framework DETOUR: Um novo ataque de backdoor que utiliza um gatilho semântico do mundo real (uma caneca) e uma estratégia de treinamento multidimensional (Multi-FoV, Multi-Escala, Multi-Local) para alcançar ativação robusta.
3. Praticidade: Diferentemente de trabalhos anteriores que dependem de perturbações digitais, o DETOUR é projetado para implantação física, abordando desafios como limitações de captura de câmera, impressão e variações ambientais.
4. Avaliação Abrangente: O método foi testado contra 6 objetivos de ataque diferentes e comparado com baselines de última geração (BadNets, Blended, SIG).

5. Resultados Experimentais

Os experimentos foram conduzidos no conjunto de dados MS COCO 2017 utilizando um backbone DETR (ResNet-50).

• Eficácia do Ataque:
  • Sob a estratégia de ataque padrão (local fixo), o DETOUR alcançou 36,62% mais eficácia de ataque em comparação com a melhor baseline.
  • Sob o payload proposto (locais/escalas arbitrários), o DETOUR alcançou uma melhoria de 70,81% no TRE em comparação com as baselines.
  • O DETOUR manteve alta ASR (Taxa de Sucesso do Ataque) em tamanhos de gatilho variados (de 50x50 a 70x70) e FoVs, enquanto as baselines sofreram quedas significativas de desempenho quando o tamanho ou a localização do gatilho mudaram.
• Precisão Benigna:
  • O DETOUR preservou o desempenho de detecção benigna com degradação mínima. A queda no mAP (Precisão Média) foi de apenas 2,0%, comparado a ~4-5% para ataques de baseline.
• Robustez:
  • O ataque ativou com sucesso em Locais de Ativação de Gatilho (TALs) arbitrários e em diferentes escalas, provando a eficácia da estratégia de treinamento multidimensional.
• Eficiência:
  • A sobrecarga computacional (tempo de treinamento e memória) introduzida pelo DETOUR foi negligenciável em comparação com o treinamento de um modelo limpo.

6. Significado

• Implicações de Segurança: O DETOUR demonstra que sistemas de detecção de objetos são altamente vulneráveis a ataques de backdoor físicos que não exigem gatilhos sigilosos e imperceptíveis. Isso desafia a suposição de que "perturbação mínima" é necessária para ataques eficazes.
• Mudança no Modelo de Ameaça: O artigo argumenta que, para implantações físicas, robustez e visibilidade são mais críticas do que o sigilo. Ataques podem usar objetos naturais para comprometer sistemas críticos de segurança (por exemplo, veículos autônomos identificando erroneamente uma caneca como um pedestre).
• Implicações de Defesa: As descobertas sugerem que os mecanismos de defesa atuais focados em detectar perturbações sutis de pixels podem ser ineficazes contra gatilhos semânticos e físicos. As defesas devem evoluir para detectar anomalias em semântica de objetos e consistência espacial.

Em conclusão, o DETOUR preenche a lacuna entre ataques de backdoor teóricos e ameaças físicas do mundo real, provando que modelos de detecção de objetos podem ser comprometidos de forma confiável usando gatilhos naturais e imprimíveis que funcionam em diversas condições ambientais.